O que \u00e9 VPC? \u00c9 a decis\u00e3o que define o que pode falar com o qu\u00ea na sua rede, antes que um incidente decida isso por voc\u00ea. Uma VM p\u00fablica com banco de dados na mesma sub-rede n\u00e3o \u00e9 um erro isolado. \u00c9 uma decis\u00e3o de arquitetura que ningu\u00e9m tomou de prop\u00f3sito.<\/p>\n\n\n\n
Ela nasce assim: o projeto sobe r\u00e1pido, o deploy funciona, e a pergunta “quem pode falar com quem nessa rede” fica para depois. O problema \u00e9 que “depois” costuma chegar via incidente, n\u00e3o via code review.<\/p>\n\n\n\n
Erro humano respondeu por 26% dos vazamentos de dados em 2025, segundo o relat\u00f3rio Cost of a Data Breach da IBM. Breaches com dados espalhados por m\u00faltiplos ambientes de nuvem custaram em m\u00e9dia US$ 5,05 milh\u00f5es, o valor mais alto entre todas as categorias do estudo.<\/p>\n\n\n\n
N\u00e3o \u00e9 explora\u00e7\u00e3o de zero-day que domina esse cen\u00e1rio. \u00c9 rede mal desenhada deixando servi\u00e7o interno acess\u00edvel de onde ele nunca deveria estar.<\/p>\n\n\n\n
VPC resolve exatamente essa classe de problema. N\u00e3o como camada extra de seguran\u00e7a, mas como decis\u00e3o estrutural: o que \u00e9 p\u00fablico, o que \u00e9 privado, e que caminho os dados percorrem entre um e outro.<\/p>\n\n\n\n
Uma Virtual Private Cloud \u00e9 um ambiente de rede dedicado dentro de uma nuvem maior, com faixa de IP privado pr\u00f3pria e um roteador virtual que decide o que trafega entre sub-redes e o que sai para a internet.<\/p>\n\n\n\n
A diferen\u00e7a para uma rede isolada comum est\u00e1 na hierarquia. Rede isolada tradicional opera sozinha, com um \u00fanico roteador, sem camadas internas. VPC permite dividir esse espa\u00e7o em tiers, cada um com uma fun\u00e7\u00e3o e um n\u00edvel de exposi\u00e7\u00e3o diferente.<\/p>\n\n\n\n
Tr\u00eas tiers t\u00edpicos de uma aplica\u00e7\u00e3o web: a camada de entrada (p\u00fablico), a camada de aplica\u00e7\u00e3o (onde roda o front-end e a l\u00f3gica de neg\u00f3cio) e o banco de dados. Sem VPC, essas VMs vivem na mesma rede plana, e qualquer uma enxerga qualquer outra por padr\u00e3o.<\/p>\n\n\n\n
Com VPC, o roteamento vira regra, n\u00e3o conven\u00e7\u00e3o. O load balancer fala com a aplica\u00e7\u00e3o. A aplica\u00e7\u00e3o fala com o banco. O banco n\u00e3o fala com a internet, ponto.<\/p>\n\n\n\n
Blast radius<\/strong> \u00e9 o raio de estrago de um comprometimento. Numa rede plana, comprometer o front-end deixa o atacante a um salto do banco. Numa VPC bem desenhada, ele fica preso no tier de aplica\u00e7\u00e3o, que \u00e9 privado, sem rota direta para o tier de dados, que \u00e9 o que importa.<\/p>\n\n\n\n O incidente mais comum n\u00e3o exige zero-day. Exige s\u00f3 um bucket configurado como p\u00fablico “temporariamente” e nunca revertido, ou uma VM com IP p\u00fablico por conveni\u00eancia de debug que ningu\u00e9m tirou depois.<\/p>\n\n\n\n O Data Breach Investigations Report 2025, da Verizon, encontrou elemento humano em 60% das viola\u00e7\u00f5es confirmadas naquele ano, entre erro de configura\u00e7\u00e3o, uso indevido de credencial e engenharia social. Rede mal desenhada entra exatamente nessa categoria: ningu\u00e9m precisou invadir nada, s\u00f3 usar uma porta que j\u00e1 estava aberta.<\/p>\n\n\n\n O modelo de responsabilidade compartilhada em cloud \u00e9 direto: o provedor cuida do datacenter e do hardware. Quem usa a nuvem responde pela configura\u00e7\u00e3o de rede, IAM e criptografia dentro dela.<\/p>\n\n\n\n VPC ausente, ou mal desenhada, \u00e9 a configura\u00e7\u00e3o incorreta mais estrutural que existe. Ela n\u00e3o \u00e9 um item a mais na lista de hardening. \u00c9 o que decide se um erro em uma camada vira exposi\u00e7\u00e3o total ou fica contido numa s\u00f3.<\/p>\n\n\n\n A pergunta certa antes de subir algo em produ\u00e7\u00e3o n\u00e3o \u00e9 “essa VM est\u00e1 segura”. \u00c9: se essa VM for comprometida, o que mais fica exposto?<\/p>\n\n\n\n Um desenho funcional de VPC segue geralmente tr\u00eas a quatro camadas, cada uma com uma regra clara de acesso.<\/p>\n\n\n\n Tier p\u00fablico.<\/strong> Onde vive apenas a infraestrutura de roteamento e entrada: Load Balancers, Gateways de API e NAT Gateways. Inst\u00e2ncias de computa\u00e7\u00e3o (mesmo as de front-end) devem sempre ficar em tiers privados, recebendo requisi\u00e7\u00f5es exclusivamente por interm\u00e9dio desse Load Balancer. Tudo neste tier atua como uma barreira e \u00e9 tratado como potencialmente exposto.<\/p>\n\n\n\n Tier de aplica\u00e7\u00e3o.<\/strong> Onde roda a l\u00f3gica de neg\u00f3cio, os workers e as inst\u00e2ncias de front-end. Recebe tr\u00e1fego do tier p\u00fablico apenas via Load Balancer, com regras espec\u00edficas. Sai para fora s\u00f3 via NAT gateway, sem porta de entrada exposta.<\/p>\n\n\n\n Tier de dados.<\/strong> Banco, cache, filas. Acess\u00edvel s\u00f3 pelo tier de aplica\u00e7\u00e3o, nunca diretamente pelo p\u00fablico. Recebe a camada mais restritiva de todas, porque um vazamento aqui j\u00e1 \u00e9 catastr\u00f3fico.<\/p>\n\n\n\n Tier de gest\u00e3o<\/strong>, opcional mas recomendado. Bastion hosts e ferramentas de administra\u00e7\u00e3o, acessados s\u00f3 via VPN ou IP fixo.<\/p>\n\n\n\n A r\u00e9gua para saber se a segmenta\u00e7\u00e3o est\u00e1 certa: cada tier deveria sobreviver ao comprometimento do tier anterior sem dano direto. Se o front-end comprometido d\u00e1 acesso autom\u00e1tico ao banco, a segmenta\u00e7\u00e3o n\u00e3o est\u00e1 cumprindo a fun\u00e7\u00e3o dela.<\/p>\n\n\n\n VM sem IP p\u00fablico n\u00e3o significa VM sem internet. \u00c9 aqui que mora a confus\u00e3o mais comum de quem est\u00e1 desenhando isso pela primeira vez.<\/p>\n\n\n\n NAT gateway permite que uma VM no tier privado inicie conex\u00f5es de sa\u00edda, como baixar uma depend\u00eancia ou chamar uma API externa, sem ter IP p\u00fablico pr\u00f3prio e sem aceitar conex\u00e3o de entrada vinda de fora.<\/p>\n\n\n\n A VM fala com o mundo. O mundo n\u00e3o fala com ela.<\/p>\n\n\n\n Toda VM que precisa buscar dados na internet externa deve estar atr\u00e1s de um NAT Gateway, e n\u00e3o com IP p\u00fablico direto. J\u00e1 para acessar servi\u00e7os internos da pr\u00f3pria nuvem, como um Object Storage ou um banco gerenciado, a melhor pr\u00e1tica \u00e9 usar VPC Endpoints, que roteiam o tr\u00e1fego por uma rede estritamente privada, sem passar pelo NAT.<\/p>\n\n\n\n Autoscaling e VPC precisam estar alinhados, ou a escala vira risco. Uma inst\u00e2ncia nova, subindo automaticamente num pico de demanda, precisa nascer j\u00e1 no tier correto, com as mesmas regras de rede da original.<\/p>\n\n\n\n Quando isso n\u00e3o acontece, o resultado \u00e9 configuration drift: a inst\u00e2ncia nova sobe num tier errado, ou com regra de seguran\u00e7a mais permissiva do que deveria.<\/p>\n\n\n\n Infraestrutura como c\u00f3digo resolve essa lacuna. Definir a VPC via Terraform, com tiers, rotas e security groups em c\u00f3digo versionado, elimina a varia\u00e7\u00e3o manual que costuma abrir esse tipo de brecha.<\/p>\n\n\n\n Topologia de rede como c\u00f3digo \u00e9 revis\u00e1vel em pull request, test\u00e1vel antes de produ\u00e7\u00e3o, e reproduz\u00edvel sem depender de algu\u00e9m lembrar de clicar no lugar certo no painel.<\/p>\n\n\n\n Locaweb Cloud tem VPC networking nativo. A segmenta\u00e7\u00e3o em tiers j\u00e1 \u00e9 parte do produto, n\u00e3o uma configura\u00e7\u00e3o extra para montar por cima.<\/p>\n\n\n\n Quatro pontos mudam o c\u00e1lculo de quem desenha essa arquitetura:<\/p>\n\n\n\n A Tray, hoje parceira do mesmo grupo da Locaweb, estimou economia de R$ 45 mil por m\u00eas em infraestrutura ao migrar para esse modelo.<\/p>\n\n\n\n Nada disso elimina a necessidade de desenhar a segmenta\u00e7\u00e3o com cuidado. Elimina o atrito de montar a base da VPC do zero.<\/p>\n\n\n\n Seis perguntas para confirmar antes de considerar uma aplica\u00e7\u00e3o pronta:<\/p>\n\n\n\n Qualquer resposta duvidosa significa que a rede ainda n\u00e3o est\u00e1 pronta, mesmo com a aplica\u00e7\u00e3o no ar. Funcionar e estar bem desenhado s\u00e3o coisas diferentes.<\/p>\n\n\n\n Depois de entender os tiers e o que cada um protege, o pr\u00f3ximo passo \u00e9 desenhar a sua. Criar uma VPC agora no Locaweb Cloud<\/a> come\u00e7a direto no painel, com os tiers configur\u00e1veis desde a primeira VM.<\/p>\n\n\n\nPor que a maioria dos incidentes de seguran\u00e7a come\u00e7a na rede, n\u00e3o no c\u00f3digo?<\/h2>\n\n\n\n
Como desenhar os tiers de uma VPC<\/h2>\n\n\n\n
Como uma VM fica online sem IP p\u00fablico? O papel do NAT gateway<\/h2>\n\n\n\n
Autoscaling quebra a segmenta\u00e7\u00e3o de uma VPC?<\/h2>\n\n\n\n
VPC na Locaweb Cloud: o que muda na pr\u00e1tica<\/h2>\n\n\n\n
\n
Checklist antes de ir para produ\u00e7\u00e3o<\/h2>\n\n\n\n
\n
FAQ \u2013 Perguntas frequentes sobre VPC<\/h2>\n\n\n\n